Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Vertragsparteien

zwischen der jeweiligen Kommune, Schule, Behörde oder sonstigen öffentlichen Einrichtung (nachfolgend „Verantwortlicher") und Philipp Paul, Zillertalstraße 37, 13187 Berlin, info@vergabo.de (nachfolgend „Vergabo" oder „Auftragsverarbeiter")

§ 1 Gegenstand und Dauer

Vergabo verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Vergabo-Plattform für die digitale Abwicklung öffentlicher Vergabeverfahren nach VOB/A Abschnitt 1 (Bauleistungen) bzw. UVgO (Dienstleistungen). Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Art der verarbeiteten Daten:

Kontaktdaten von Ansprechpartner/innen der Behörde
Auftragsdaten und Leistungsbeschreibungen
Anbieter- und Bewerberdaten im Rahmen von Vergabeverfahren
Vergabevermerke und Audit-Logs
Eigenerklärungen und Nachweise der Anbieter

Zweck der Verarbeitung: Durchführung von Vergabeverfahren nach VOB/A Abschnitt 1 bzw. UVgO sowie Bereitstellung der Vergabo-Plattform.

§ 3 Pflichten des Auftragsverarbeiters

Vergabo verpflichtet sich:

Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
Zur Vertraulichkeit aller verarbeiteten personenbezogenen Daten
Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umzusetzen
Unterauftragsverarbeiter nur mit vorheriger Zustimmung des Verantwortlichen einzusetzen
Den Verantwortlichen unverzüglich zu informieren wenn eine Weisung gegen DSGVO verstößt
Bei Datenschutzverletzungen den Verantwortlichen unverzüglich zu informieren (Art. 33 DSGVO)
Alle Daten nach Vertragsende zu löschen oder zurückzugeben
Dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen

§ 4 Technische und organisatorische Maßnahmen (TOM)

Verschlüsselte Datenübertragung über HTTPS/TLS
Verschlüsselte Datenspeicherung in der Datenbank
Zugriffskontrolle durch Nutzerrollen (Row Level Security)
Signierte URLs für den Zugriff auf private Dokumente
Zwei-Faktor-Authentifizierung verfügbar
Regelmäßige Sicherheitsupdates
Audit-Logs für alle relevanten Aktionen
Server in Deutschland/EU (Supabase Frankfurt)

§ 5 Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

Dienstleister	Zweck	Standort
Vercel Inc.	Hosting und Deployment	USA (EU-Standardvertragsklauseln)
Supabase Inc.	Datenbank, Authentifizierung, Dateispeicherung	Frankfurt, Deutschland
Resend Inc.	E-Mail-Versand	USA (EU-Standardvertragsklauseln)
Cloudflare Inc.	Bot- und Spam-Schutz (Turnstile) auf Anmelde- und Registrierungsseiten	USA (EU-Standardvertragsklauseln)
Upstash, Inc.	Rate-Limiting (kurzlebige, pseudonyme Zähler) und PLZ-Koordinaten-Cache	USA (EU-Standardvertragsklauseln)
Expo (650 Industries, Inc.)	Zustellung von Push-Benachrichtigungen an die Vergabo-App	USA (EU-Standardvertragsklauseln)

§ 6 Rechte des Verantwortlichen

Der Verantwortliche hat jederzeit das Recht auf:

Auskunft über die Verarbeitung personenbezogener Daten
Kontrolle und Audits der Verarbeitungstätigkeiten
Erteilung von Weisungen zur Datenverarbeitung
Löschung oder Rückgabe aller Daten nach Vertragsende

§ 7 Haftung

Die Haftung der Vertragsparteien richtet sich nach den gesetzlichen Vorschriften der DSGVO sowie den Regelungen im Nutzungsvertrag.

§ 8 Schlussbestimmungen

Dieser AVV unterliegt deutschem Recht. Gerichtsstand ist Berlin. Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Hinweis: Durch die Registrierung und Nutzung von Vergabo als öffentlicher Auftraggeber stimmen Sie diesem AVV zu. Auf Anfrage stellen wir Ihnen gerne ein unterzeichnetes Exemplar per E-Mail zu: info@vergabo.de